Deweloper stworzył aplikację mobilną, która pobiera tokeny dostępu Azure AD przy użyciu przepływu OAuth 2.0 implicit grant. Aplikacja musi być zarejestrowana w Azure AD. Deweloper pyta Cię, jaka wartość jest wymagana do rejestracji. Czy oryginalne stwierdzenie, że wymagany jest redirect URI, jest poprawne?

Tak, oryginalne stwierdzenie jest poprawne. Przepływ OAuth 2.0 implicit grant (niejawny) jest przeznaczony dla aplikacji klienckich, które nie mogą bezpiecznie przechowywać poświadczeń, takich jak aplikacje mobilne lub jednostronicowe (SPA). W tym przepływie tokeny dostępu są zwracane bezpośrednio do przeglądarki lub aplikacji, a kluczowym elementem bezpieczeństwa jest redirect URI. Azure AD używa redirect URI do weryfikacji, czy tokeny są wysyłane z powrotem do zaufanej lokalizacji, zapobiegając atakom polegającym na przekierowaniu. Secret (tajny klucz klienta) jest używany w przepływach, gdzie klient może bezpiecznie przechowywać poświadczenia (np. aplikacje webowe po stronie serwera). Login hint to opcjonalny parametr. Client ID jest zawsze wymagany do identyfikacji aplikacji, ale pytanie dotyczyło dodatkowego wymagania dla tego konkretnego przepływu.